Віртуальний фронт. Як Естонія стала гуру з кіберзахисту і чому може повчитися в неї Україна
Зараз Естонія входить в топ-5 країн за рівнем кіберзахисту, згідно з Національним індексом кібербезпеки 2020 року. Але так було не завжди. Чим же естонський досвід може бути корисним для України?
Україна планує до 2030 року увійти в топ країн за рівнем кіберзахисту. Ви вже зробили багато правильних кроків у напрямку підвищення кіберспроможності. Але я хочу дати кілька порад, які допоможуть істотно поліпшити цей рівень.
Зараз Естонія входить в топ-5 країн за рівнем кіберзахисту, згідно з Національним індексом кібербезпеки 2020 року. Але так було не завжди.
Поштовхом для серйозних змін стала скоординована кібератака російських хакерів на комп'ютерні системи державних установ Естонії в квітні 2007 року. Ми усвідомили, що для того, щоб побудувати цифрову державу, потрібно щось змінювати.
Ситуація в Україні дуже схожа на те, що відбувалося в Естонії. В останні роки Україна стала полігоном для відпрацювання різних сценаріїв кібератак. Епізоди з вірусом NotPetya, атаками на енергетичну систему, ЦВК тощо, є хорошою ілюстрацією.
Це все відбувається на тлі стрімкої діджиталізації держави і суспільства. Отже, досвід Естонії в побудові кіберзахисту може бути релевантним і для України.
Насамперед, Естонія на національному рівні ухвалила важливі рішення, такі, як Стратегія кібербезпеки, визначила, які державні органи є точками контакту й відповідають на національному рівні за координацію та організацію регулярних тренінгів та навчань.
Також після атак 2007 року був заснований КІБЕРЦЕНТР, схвалений НАТО (так атаки на Естонію стали хорошим шансом для неї, але й НАТО також почав сприймати кіберсферу на серйозному рівні).
Протягом останнього року ви теж зробили ці кроки.
Для більш повного розуміння успішності кіберреформ Академія електронного урядування Естонії розробила Національний індекс кібербезпеки і підтримує його з 2016 року (до речі, Україна посіла в ньому 25 місце).
Індекс складається з різних елементів, починаючи з управління. Також враховує критичну інформаційну інфраструктуру, кіберінциденти, освіту, готовність до захисту, міжнародне співробітництво: тобто, багато аспектів — аж до захисту персональних даних, довірчих послуг, кримінальних, кібер і військових аспектів.
Така всеохопність йде від філософії Естонії, оскільки країна невелика, і всі 30 років незалежності ми живемо з постійним відчуттям загрози з боку східного сусіда.
Ми розуміли, що безпека може бути підірвана дуже серйозно, тому необхідно застосовувати комплексний підхід до сфери безпеки в цілому, й у сферу кібербезпеки зокрема.
Який ключ до успіху Естонії? Їх багато, але з власного досвіду скажу, що частиною його є політична воля і розуміння важливості цієї теми. Щойно вони з'являються, відразу з'являється бюджет. Якщо політики не розуміють, що кібербезпека має високий пріоритет, на її розвиток не виділяють достатньо коштів.
Політики зазвичай починають це розуміти, коли відбуваються серйозні інциденти та атаки. На щастя, в Естонії не дозволяють таким кризовим ситуаціям розвиватися, а реагують на ранній стадії.
В Україні, на щастя, політики теж усвідомили важливість кібербезпеки.
Інший важливий складник — це освіта. В університетах Естонії є сучасні програми з кібербезпеки, у школах — курси для початківців. Також у нас є військовий навчальний кібернапрям. Протягом 3-4 років молоді люди повинні пройти кіберпідготовку. Цей курс — обовʼязковий для всіх.
Звичайно ж, важливу роль в системі кіберзахисту Естонії відіграє КІБЕРЦЕНТР НАТО. Це гарне місце, щоб навчати й утримувати фахівців. Він працює не тільки для естонців, а й для представників країн-членів НАТО. Там ми проводимо багато різних безкоштовних курсів і масштабні навчання для фахівців із кібербезпеки.
Загалом, системний підхід до підготовки кіберфахівців і тренінги, на яких учасники отримують практичні навички з розпізнавання кібератак, реагування та усунення наслідків, а також навчання взаємодії з фахівцями з інших країн — це невід'ємна частина підготовки кадрового потенціалу.
Важливо, щоб у таких тренінгах брали участь представники різних країн, щоб у кінцевому підсумку, всі фахівці спілкувалися однією мовою і могли працювати, як одна команда, коли йдеться про глобальні загрози.
Я знаю, що Україна тільки почала працювати в цьому напрямку. Держспецзв'язку готує Стратегію розвитку кадрового потенціалу кібербезпеки в державі. Нещодавно відкрився КІБЕРЦЕНТР UA30, на базі якого працює тренінговий центр із потужною платформою для навчань.
Поява такого майданчика — це важливий крок у побудові системного підходу до захисту від кіберзагроз.
17-19 травня 2021 року подібні навчання вперше пройшли в Україні. Їх проводила естонська компанія CybExer Technologies OÜ під керуванням Естонської академії електронного управління за фінансової підтримки Євросоюзу (проект EU4DigitalUA) у співпраці з Держспецзв'язку.
У навчанні взяли участь 30 співробітників суб'єктів кібербезпеки України.
Основною метою кібернавчань було підвищення потенціалу та навичок учасників. Полювання на кіберзагрози дозволяє фахівцям розвинути всебічні навички технічної точки зору, керівництву — розвинути обізнаність про наслідки, які можуть спричинити кіберінциденти.
І ще один аспект, який Естонії вдається робити дуже добре — це підтримка кібербезпечної спільноти, враховуючи як державний, так і приватний сектор.
Підтримка полягає як в офіційних заходах з обговорення стратегії, тренінгах, так і неофіційних, а також їх комбінації. Естонці підтримують єдність в цьому співтоваристві, залучають до активного діалогу, розвивають довіру між державним і приватним сектором, розуміючи, що 85% критичної інформаційної інфраструктури належить приватному сектору, який постачає електроенергію, воду, газ та інші життєво необхідні для суспільства елементи.
Уряд Естонії підтримує взаємини, а не тільки ставить вимоги. Він допомагає дотримуватися правил, виконувати вимоги, пропонує тренінги, залучає до діалогу, щоб приватний сектор бачив цілісну картину. В цьому аспекті Естонія також може слугувати прикладом для України.